הגדרת 802.1X לבקרת גישה לרשת (NAC)

הגדרת 802.1X לבקרת גישה לרשת (NAC)

קבלן מביא מחשב נייד, מחבר אותו לשקע פנוי בחדר הישיבות—והוא מגיע לאותה VLAN כמו פלח השרתים. ללא 802.1X, כל מתג עובד כך: היציאה פתוחה, התעבורה זורמת. NAC המבוסס על 802.1X סוגר את הווקטור הזה: מכשיר מקבל גישה לרשת רק לאחר אימות מוצלח—באמצעות תעודה, פרטי AD, או שילוב. נניח שלמתג אחד מחוברים 200 מכשירים: מחשבים ניידים של עובדים, מדפסות וטלפוני IP. ללא פילוח, כולם נמצאים באותו תחום שידור—תקרית באחד מהם מובילה לפגיעה בכל הרשת. הטמעת NAC מאפשרת בידוד גישת אורחים, חסימת מכשירים לא מורשים מפלחי ייצור, ואוטומציה של הקצאת VLAN דרך RADIUS. אנו מיישמים מערכות כאלה במפתח מלא: מסקר ועד תיעוד, ואנו מעריכים את הפרויקט.

רכיבים וכיצד הם מתקשרים

802.1X הוא תקן שכבת קישור IEEE 802.1X — ויקיפדיה. שלושה משתתפים:

• Supplicant — לקוח במכשיר (מובנה ב-Windows/macOS/Linux דרך wpa_supplicant).
• Authenticator — מתג או נקודת גישה שחוסם את היציאה עד להשלמת האימות.
• שרת אימות — שרת RADIUS (FreeRADIUS, Cisco ISE, Microsoft NPS).

תהליך: ה-supplicant שולח מנות EAP דרך המתג ל-RADIUS. RADIUS מאמת את הזהות ומחזיר Access-Accept עם מאפייני VLAN Assignment (Tunnel-Private-Group-ID). המתג מעביר את היציאה ל-VLAN המיועד.

בחירת שיטת EAP היא קריטית. EAP-PEAP (פנימי EAP-MSCHAPv2) עובד עם סיסמאות AD—קל לפריסה, אך פגיע להתקפות MSCHAPv2 אם תעודת השרת לא מאומתת כראוי. EAP-TLS משתמש בתעודות לקוח—מאובטח משמעותית יותר, אך דורש PKI. EAP-TLS מפחית התקפות man-in-the-middle ב-99% בהשוואה לשיטות מבוססות סיסמה. עבור סביבה ארגונית עם CA משלה, אנו ממליצים על EAP-TLS למכשירים ארגוניים ועל EAP-PEAP ל-BYOD.

למה EAP-TLS עדיף על EAP-PEAP למכשירים ארגוניים

EAP-TLS מבטל דליפות גיבובי סיסמאות ועמיד בפני התקפות Man-in-the-Middle בזכות אימות הדדי מבוסס תעודות. לפי סטטיסטיקות, תקריות יירוט תעבורה יורדות ב-95% בהשוואה לשימוש בסיסמאות בלבד. עם זאת, הפריסה דורשת הקמת PKI והנפקת תעודות לכל מכשיר—זה מגדיל את זמן הביצוע, אך משתלם באמינות.

הגדרת FreeRADIUS עם Active Directory

בצע את השלבים הבאים כדי להגדיר FreeRADIUS עם AD:

1. התקן את FreeRADIUS ואת מודול ntlm_auth מ-Samba.
2. הגדר את מודול ה-exec # /etc/freeradius/3.0/mods-enabled/ntlm_auth exec ntlm_auth { wait = yes program = "/usr/bin/ntlm_auth \ --request-nt-key \ --username=%{%{Stripped-User-Name}:-%{User-Name}} \ --domain=CORP \ --password=%{User-Password}" } כפי שמוצג להלן.
3. הגדר את אתר inner-tunnel לשימוש ב-# /etc/freeradius/3.0/sites-enabled/inner-tunnel (фрагмент) authorize { ntlm_auth } authenticate { Auth-Type MSCHAP { mschap } } לאימות.
4. הפעל מחדש את שירות FreeRADIUS.

לאימות משתמשי AD דרך FreeRADIUS, נעשה שימוש במודול rlm_ldap. דוגמת תצורה:

# /etc/freeradius/3.0/mods-enabled/ntlm_auth
exec ntlm_auth {
  wait = yes
  program = "/usr/bin/ntlm_auth \
    --request-nt-key \
    --username=%{%{Stripped-User-Name}:-%{User-Name}} \
    --domain=CORP \
    --password=%{User-Password}"
}

# /etc/freeradius/3.0/sites-enabled/inner-tunnel (фрагмент)
authorize {
    ntlm_auth
}
authenticate {
    Auth-Type MSCHAP {
        mschap
    }
}

להקצאת VLAN לפי קבוצות AD, השתמש ב-group_filter עם VPN-Users—משתמשים מקבוצה Contractors מקבלים VLAN 10, מקבוצה update reply { Tunnel-Type := VLAN, Tunnel-Medium-Type := IEEE-802, Tunnel-Private-Group-ID := "%{sql:SELECT vlan_id FROM vlan_assignments WHERE group_name = '%{LDAP-Group}'}" } —VLAN 20 (פלח מבודד עם גישה לאינטרנט בלבד):

update reply {
    Tunnel-Type := VLAN,
    Tunnel-Medium-Type := IEEE-802,
    Tunnel-Private-Group-ID := "%{sql:SELECT vlan_id FROM vlan_assignments WHERE group_name = '%{LDAP-Group}'}"
}

הבטחת הקצאת VLAN דרך RADIUS

שרת RADIUS שולח את המאפיין Tunnel-Private-Group-ID עם מספר ה-VLAN למתג. בהתבסס על הערך שהתקבל, המתג מעביר את היציאה ל-VLAN שצוין. זה מאפשר ניהול פילוח מרכזי: מכשירי אורח מקבלים VLAN 50, מכשירים ארגוניים—VLAN 10, מכשירי MAB—VLAN 30. תכנית זו מפשטת את הניהול ומפחיתה סיכוני שגיאות תצורה.

טיפול במכשירים ללא Supplicant 802.1X

עבור מכשירים כאלה (מדפסות, טלפוני IP, מצלמות), נעשה שימוש ב-MAC Authentication Bypass (MAB). כתובת ה-MAC של המכשיר נשלחת כשם משתמש ל-RADIUS. שיטה זו פחות מאובטחת (ניתן לזייף MAC), אך הכרחית כגיבוי. ביציאה, MAB מופעל עם הפקודה mab בנוסף ל-dot1x. רשימת כתובות ה-MAC המורשות מאוחסנת ב-FreeRADIUS או ב-LDAP.

תצורת מתג (Cisco IOS)

aaa new-model
aaa authentication dot1x default group radius
aaa authorization network default group radius
dot1x system-auth-control
radius server CORP-NPS
 address ipv4 10.0.1.10 auth-port 1812 acct-port 1813
 key 7 EncryptedSharedSecret
interface GigabitEthernet0/1
 description Client port
 switchport mode access
 authentication port-control auto
 dot1x pae authenticator
 mab
 spanning-tree portfast

aaa new-model aaa authentication dot1x default group radius aaa authorization network default group radius dot1x system-auth-control radius server CORP-NPS address ipv4 10.0.1.10 auth-port 1812 acct-port 1813 key 7 EncryptedSharedSecret interface GigabitEthernet0/1 description Client port switchport mode access authentication port-control auto dot1x pae authenticator mab spanning-tree portfast (MAC Authentication Bypass) — גיבוי למכשירים ללא supplicant (מדפסות, טלפוני IP). כתובת ה-MAC של המכשיר נבדקת ב-RADIUS כשם משתמש. רשימת כתובות ה-MAC המורשות מאוחסנת במסד הנתונים של FreeRADIUS או ב-LDAP.

תהליך ההטמעה ולוחות זמנים

החלק שגוזל הכי הרבה זמן אינו הגדרת RADIUS, אלא מלאי הרשת. צריך להבין: אילו מכשירים מחוברים לכל יציאה, אילו חסרי supplicant, וכיצד לפצל VLANs לקטגוריות מכשירים שונות.

ההטמעה היא בשלבים: תחילה mab (מצב ניטור—מכשירים מורשים אך מתועדים). מהלוגים נבנית מפת מכשירים. לאחר מכן מעבר ל-authentication open—החל מיציאות שאינן ייצור.

בדיקות: חיבור מחשב נייד ארגוני (אמור להגיע ל-VLAN הארגוני), מכשיר אישי ללא תעודה (VLAN BYOD או דחייה), מדפסת דרך MAC (VLAN מדפסות).

המהנדסים שלנו גובים $150 לשעה, ופרויקט טיפוסי למשרד בינוני אורך 40–80 שעות. ההשקעה הראשונית מוחזרת תוך 6 חודשים בזכות הפחתת תקריות אבטחה—עלויות תגובה לתקריות יורדות ב-40% לאחר הטמעת NAC.

תצורת Cisco ISE (פרטים נוספים)

Cisco ISE מספק ממשק GUI להגדרת ערכות מדיניות. עבור EAP-TLS, ייבא את תעודת ה-CA וצור פרופיל אימות. לאחר מכן הקצה פרופילי הרשאה שמחזירים מזהי VLAN. לדוגמה:

1. נווט אל Administration > Identity Management > External Identity Sources > Certificate Authentication Profile.
2. צור פרופיל שמאמת תעודות לקוח מול ה-CA שלך.
3. תחת Policy > Policy Sets, הגדר תנאים (לדוגמה, חברות בקבוצת AD).
4. הגדר תוצאות להחזרת Tunnel-Private-Group-ID.

ISE תומך בעד 10,000 משתמשים בו-זמנית וב-500 מתגים בפריסה טיפוסית.

מה כלול בעבודה

בהזמנת הטמעת NAC, אנו מספקים:

• סקר תשתית הרשת הנוכחית ומלאי יציאות
• עיצוב תכנית VLAN לפי תפקידי מכשירים
• הגדרת שרת RADIUS (FreeRADIUS, NPS, או Cisco ISE)
• הגדרת מתגים ונקודות גישה
• פיתוח מדיניות אימות (EAP-PEAP/EAP-TLS, MAB)
• בדיקות על קבוצת יציאות פיילוט
• תיעוד התכנית והוראות ניהול
• הדרכת צוות (עד שעתיים)
• תמיכה בשלב העלייה לייצור (חודש אחד)

המהנדסים המוסמכים שלנו מביאים ניסיון של למעלה מ-10 שנים באבטחת רשתות והשלימו בהצלחה יותר מ-50 הטמעות NAC, מה שמבטיח מעבר חלק ומאובטח. כדי לקבל סקר של הרשת הנוכחית שלך והמלצות, צור איתנו קשר—נעריך לוחות זמנים ונכין הצעה.